Παρακολούθηση Ακεραιότητας Αρχείων

Η παρακολούθηση ακεραιότητας αρχείων απαντά σε ένα ερώτημα: άλλαξε ένα αρχείο που δεν θα έπρεπε να αλλάξει; Ο έλεγχος καταγράφει μια αξιόπιστη κατάσταση επιλεγμένων αρχείων, φακέλων και ρυθμίσεων και στη συνέχεια αναφέρει κάθε μεταγενέστερη διαφορά μαζί με την ώρα και τον λογαριασμό πίσω από αυτήν. Η αξία βρίσκεται λιγότερο στην ίδια την ανίχνευση και περισσότερο στο ότι μια ανεξήγητη αλλαγή γίνεται εγγραφή που κάποιος πρέπει να κλείσει, αντί για μια αθόρυβη τροποποίηση που κανείς δεν προσέχει.

Το FIM βασίζεται στην επαλήθευση ακεραιότητας αρχείων, δηλαδή στην ίδια την πράξη της επαλήθευσης. Η διαφορά είναι η συνέχεια: ένας μεμονωμένος έλεγχος απαντά στο ερώτημα μία φορά, ενώ το FIM το θέτει συνεχώς και κρατά το ιστορικό κάθε απάντησης. Αυτό το ιστορικό χρειάζεται ένας ερευνητής όταν ένα αρχείο ρυθμίσεων άλλαξε εβδομάδες προτού το προσέξει κάποιος.

Κάθε παρακολουθούμενη διαδρομή ακολουθεί τον ίδιο κύκλο. Από μια γνωστή καλή κατάσταση λαμβάνεται βασική γραμμή κατακερματισμών και χαρακτηριστικών. Κάθε μεταγενέστερο συμβάν συγκρίνεται με αυτή τη βασική γραμμή, ώστε η ειδοποίηση να αντικατοπτρίζει ό,τι πραγματικά διαφέρει και να αναφέρει το αρχείο, την αλλαγή, τον λογαριασμό και την ώρα. Η ποιότητα του ελέγχου εξαρτάται κυρίως από τη βασική γραμμή και από την πειθαρχία του υπευθύνου των ειδοποιήσεων, όχι από τη μηχανή ανίχνευσης.

Η προγραμματισμένη σύγκριση ελέγχει ξανά τη βασική γραμμή σε σταθερά διαστήματα και αναφέρει αποκλίσεις. Είναι φθηνή και εύκολη στον έλεγχο, αλλά μια αλλαγή που γίνεται αμέσως μετά από σάρωση μένει κρυφή μέχρι την επόμενη. Η παρακολούθηση σε πραγματικό χρόνο αντιδρά σε εγγραφές, μετακινήσεις και διαγραφές τη στιγμή που συμβαίνουν, γι αυτό ένα SOC συνήθως την θέλει για εκτελέσιμα συστήματος, σενάρια εκκίνησης και κανόνες πρόσβασης.

Η λειτουργία σε πραγματικό χρόνο κοστίζει περισσότερο. Απαιτεί πράκτορα στον υπολογιστή, παράγει περισσότερα συμβάντα και χρειάζεται ρύθμιση από την πρώτη μέρα. Πολλές ομάδες χρησιμοποιούν και τα δύο: πραγματικό χρόνο για τις λίγες πιο σημαντικές διαδρομές και προγραμματισμένη σύγκριση για το υπόλοιπο περιβάλλον, ώστε ένα συμβάν που παρέλειψε ο πράκτορας να εντοπιστεί από την επόμενη πλήρη σάρωση. Την ευρύτερη πρακτική περιγράφει η συνεχής παρακολούθηση.

Από μόνη της, μια ειδοποίηση για αλλαγμένο αρχείο είναι φτωχή. Λέει ότι μια διαδρομή διαφέρει από τη βασική γραμμή, αλλά τίποτα για την πρόθεση. Το FIM αποκτά αξία όταν η ειδοποίηση φτάνει στην ίδια ροή με όλα τα άλλα σήματα, ώστε ο αναλυτής να τη διαβάζει δίπλα σε συνδέσεις, διεργασίες και το αίτημα που θα έπρεπε να εξηγεί την αλλαγή. Οι ομάδες που ήδη στέλνουν συμβάντα σε μια ενοποίηση με SIEM μπορούν να τοποθετήσουν την αλλαγή του αρχείου στον ίδιο χρονικό άξονα με τις συνδέσεις.

Το FIM είναι από τους πιο συχνά αναφερόμενους ελέγχους σε πλαίσια ασφαλείας, γι αυτό οι ομάδες SOC το εφαρμόζουν ακόμη και όταν δεν έχει συμβεί περιστατικό. Οι περισσότεροι ελεγκτές ζητούν τα ίδια τεκμήρια: έναν ορισμένο κατάλογο κρίσιμων αρχείων, ειδοποιήσεις για μη εξουσιοδοτημένη αλλαγή και απόδειξη ότι ένα πρόσωπο εξέτασε κάθε ειδοποίηση και την έκλεισε με απόφαση.

• Το PCI DSS απαιτεί μηχανισμό ανίχνευσης αλλαγών σε συστήματα που επεξεργάζονται δεδομένα καρτών, με σύγκριση των κρίσιμων αρχείων τουλάχιστον μία φορά την εβδομάδα.
• Το NIST SP 800-53, έλεγχος SI-7, καλύπτει την ακεραιότητα λογισμικού, υλικολογισμικού και πληροφοριών.
• Η δικλίδα ακεραιότητας του HIPAA αναμένει από τις καλυπτόμενες οντότητες ηλεκτρονικούς μηχανισμούς που επιβεβαιώνουν ότι οι ηλεκτρονικές πληροφορίες υγείας δεν έχουν αλλοιωθεί ή καταστραφεί χωρίς εξουσιοδότηση.
• Το ISO/IEC 27001, Παράρτημα Α, περιλαμβάνει ελέγχους διαχείρισης αλλαγών και ακεραιότητας συστημάτων, τους οποίους μια τεκμηριωμένη διαδικασία FIM βοηθά να αποδειχθούν.
• Οι ελεγκτές ζητούν συνήθως τον κατάλογο των προστατευόμενων αρχείων, δείγματα ειδοποιήσεων και ίχνος εξέτασης που δείχνει ότι κάθε ειδοποίηση έκλεισε με απόφαση, και όχι απλώς δημιουργήθηκε.

Το Anexet δεν δημιουργεί βασική γραμμή για αυθαίρετες διαδρομές συστήματος και δεν υπολογίζει τον κατακερματισμό κάθε αρχείου σε έναν διακομιστή, οπότε δεν είναι κλασική μηχανή FIM. Η κονσόλα καταγράφει λειτουργίες αρχείων σε σταθμούς εργασίας και σε κοινόχρηστους πόρους δικτύου: για αρχεία, δημιουργία, ανάγνωση, εγγραφή, διαγραφή, μετονομασία, εκτέλεση και αλλαγή δικαιωμάτων· για φακέλους, ένα πιο περιορισμένο σύνολο. Κάθε προφίλ πράκτορα επιλέγει ποιες λειτουργίες καταγράφονται. Τους κοινόχρηστους πόρους δικτύου καλύπτει ο έλεγχος μεταφοράς αρχείων και κοινόχρηστων πόρων.

Ο μεγαλύτερος λειτουργικός κίνδυνος του FIM δεν είναι να χαθεί μια πραγματική αλλαγή. Είναι να πνιγεί το SOC στον θόρυβο, μέχρι να απορρίπτονται όλες οι ειδοποιήσεις χωρίς ανάγνωση. Τα κοντέινερ αλλάζουν την εικόνα: οι εικόνες ξαναχτίζονται αντί να ενημερώνονται επιτόπου, οπότε η βασική γραμμή μεταφέρεται στη διαδικασία κατασκευής εικόνων. Η ρύθμιση ακολουθεί μια προβλέψιμη σειρά:

1. 1

   Λήψη βασικής γραμμής

   Καταγράψτε την από μια γνωστή σωστή έκδοση του συστήματος.

2. 2

   Λειτουργία μόνο αναφοράς

   Μάθετε τι αλλάζει συνήθως σε αυτή την κατηγορία συστημάτων.

3. 3

   Εξαίρεση ασταθών διαδρομών

   Αφήστε εκτός τις διαδρομές που αλλάζουν νόμιμα, όπως προσωρινές μνήμες, αρχεία καταγραφής και μεταδεδομένα διαχειριστή πακέτων.

4. 4

   Αποστολή ειδοποιήσεων σε υπεύθυνο

   Ο υπεύθυνος κλείνει κάθε ειδοποίηση με καταγεγραμμένη αιτιολογία.

Το FIM εντοπίζει ότι ένα παρακολουθούμενο αρχείο άλλαξε. Δεν κρίνει αν το νέο περιεχόμενο είναι κακόβουλο και δεν εμποδίζει την αλλαγή. Δεν βλέπει τίποτα από δραστηριότητες που δεν αγγίζουν ποτέ μια παρακολουθούμενη διαδρομή, όπως εκτέλεση στη μνήμη, κατάχρηση διαπιστευτηρίων ή δεδομένα που αντιγράφονται χωρίς να αλλάξει κανένα αρχείο.

Ένα ώριμο SOC επομένως αντιμετωπίζει το FIM ως έναν από πολλούς ανιχνευτικούς ελέγχους. Το συνδυάζει με ελέγχους πρόσβασης που περιορίζουν ποιος μπορεί να γράφει σε προστατευόμενες διαδρομές, με έλεγχο ακεραιότητας αρχείων καταγραφής, ώστε τα συμβάντα ακεραιότητας να επιβιώνουν σε υποδομή που ο επιτιθέμενος δεν ελέγχει, και με αντίγραφα ασφαλείας και ανάκτηση, ώστε μια επιβεβαιωμένη μη εξουσιοδοτημένη αλλαγή να μπορεί να αναιρεθεί.

Ξεκινήστε από τα λίγα αρχεία των οποίων η αθόρυβη αλλαγή θα έβλαπτε περισσότερο: τα εκτελέσιμα του συστήματος στους διακομιστές, τις ρυθμίσεις των εργαλείων ασφαλείας και τις διαδρομές που φυλάσσουν προστατευόμενα δεδομένα. Προσθέστε άλλες διαδρομές μόνο αφού ο υπεύθυνος εξηγήσει κάθε ειδοποίηση που παρήγαγε το πρώτο σύνολο.

Περισσότερα: Μηχανισμοί διασφάλισης της ασφάλειας των συστημάτων πληροφοριών; Τι είναι τα συστήματα SIEM για τη διαχείριση της ασφάλειας πληροφοριών;.